修改 SQL Server 預設 1433 連接埠：完整操作步驟與安全考量

變更預設連接埠能降低自動掃描攻擊風險，但非絕對防禦，需配合防火牆、驗證強化等纵深措施。

SQL Server 服務埠口對照

圖形化介面修改法 (企業管理器 / SQL Server 組態管理員)

1. 開啟 SQL Server 組態管理員 (SQL Server 2005+)
   • 或企業管理器 → 伺服器群組 → 右鍵實例 → 屬性 → 網路組態
2. 展開 SQL Server 網路組態 → 選擇對應實例 (如 MSSQLSERVER 的 TCP/IP)
3. 右鍵 TCP/IP → 屬性 → IP Addresses 標籤
4. 捲動至 IPAll 區段 → TCP Port 輸入新埠口 (如 54321) → TCP Dynamic Ports 清空
5. 確定 → 重啟 SQL Server 服務** (右鍵服務 → 重新啟動)

命令列/登錄修改法 (進階)

' 登錄路徑 (實例名稱視安裝而定)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\MSSQL.1\MSSQLServer\SuperSocketNetLib\Tcp\IPAll
' 修改 TcpPort 值為新埠口 (字串值)
' 刪除 TcpDynamicPorts 值

客戶端連線指定埠口

SQL Browser 服務與 UDP 1434

• 若保留 SQL Browser 服務啟動，客戶端可用 實例名稱 連線 (如 Server\Instance)，Browser 會回應實際 TCP 埠口
• 若為最大安全性：**停用 SQL Browser 服務、防火牆封鎖 UDP 1434**，強制客戶端指定埠口
• 命名實例若不啟用 Browser，**必須指定固定埠口**

隱藏伺服器選項

TCP/IP 屬性 → 隱藏執行個體 = Yes

• 效果：SELECT @@SERVERNAME、枚舉 API 不會顯示此實例
• 副作用：隱式將 TCP 埠口改為 2433** (舊版行為)，客戶端仍需指定正確埠口
• 建議：不依賴此選項**，改用防火牆限制來源 IP + 非標準埠口

' Windows 防火牆範例
netsh advfirewall firewall add rule name="SQL Server 54321" dir=in action=allow protocol=TCP localport=54321

' 刪除舊 1433 規則
netsh advfirewall firewall delete rule name="SQL Server 1433" protocol=TCP localport=1433

☐ 組態管理員 TCP/IP 啟用、固定埠口設定正確
☐ SQL Server 服務已重啟
☐ netstat -an 見新埠口 LISTENING
☐ 防火牆放行新埠口、封鎖 1433 (可選)
☐ 客戶端連線字串/ODBC/DSN 全數更新
☐ 應用程式連線測試通過
☐ SQL Browser 狀態符合策略 (啟用/停用)
☐ 稽核記錄驗證無異常登入嘗試